[发明专利]虚拟安全网关的安全策略配置系统与方法

摘要

本发明实施例公开了一种虚拟安全网关的安全策略配置系统与方法，其中，方法包括：根据用户配置生成用户安全策略；以虚拟网卡为最小单位，分别将各用户的用户安全策略拆分为最小单位用户安全策略；查询用户信息库，分别获取各最小单位用户安全策略分别对应的虚拟网卡所属虚拟机信息、虚拟机所属物理机信息及物理机上部署的VSG信息，并从用户信息库中获取VSG安全策略；以虚拟网卡为最小单位，分别将各VSG安全策略拆分为最小单位VSG安全策略；利用最小单位用户安全策略对最小单位VSG安全策略进行更新，并将更新后的最小单位VSG安全策略以VSG为单位进行合并，生成最新VSG安全策略下发给各VSG。本发明实施例可以实现从用户维度对Hypervisor模式VSG安全策略的配置。

主权项

1.一种虚拟安全网关的安全策略配置系统，其特征在于，包括：策略存储单元，用于存储策略模板，包括用户安全策略模板和下发给各虚拟安全网关VSG的VSG安全策略；所述策略模板为用于配置、记录安全策略的数据表，所述数据表包括源地址、目的地址、功能引擎、协议类型、处置策略数据项，安全策略在数据表中按照优先级为从前往后排列；用户信息库，用于存储从虚拟化管理平台中同步的虚拟机配置信息以及从VSG管理系统同步的VSG配置信息；其中，虚拟机配置信息包括：虚拟网卡信息、虚拟网卡所属虚拟机信息、虚拟机所属物理机信息和虚拟机所属用户信息，所述虚拟网卡信息包括虚拟网卡标识ID、名称、互联网协议IP地址、介质访问控制MAC地址信息，虚拟网卡所属虚拟机信息包括虚拟机ID、名称信息，虚拟机所属物理机信息包括物理机ID、名称信息；VSG配置信息包括各物理机上部署的VSG的ID、名称和IP地址信息；配置门户单元，用于根据用户对用户安全策略模板的配置生成该用户所辖各虚拟机的安全策略作为用户安全策略；分解单元，用于从用户信息库中获取用户安全策略涉及的虚拟网卡信息和虚拟机信息，根据用户安全策略涉及的虚拟网卡信息，用虚拟网卡IP地址、MAC地址统一替换用户安全策略中的虚拟网卡ID和名称信息，根据用户安全策略涉及的虚拟机信息，用同一用户所有虚拟机涉及的IP地址、MAC地址统一替换该用户的用户安全策略中的虚拟机的其它信息，根据虚拟网卡的标识信息，以虚拟机所有的虚拟网卡为最小单位，分别将各用户的用户安全策略拆分为最小单位用户安全策略；合成单元，用于查询用户信息库中存储的虚拟机配置信息与VSG相关配置信息，分别获取各最小单位用户安全策略分别对应的虚拟网卡所属虚拟机信息、虚拟机所属物理机信息及物理机上部署的VSG信息，并从用户信息库中获取各所述部署的VSG的安全策略作为VSG安全策略；以虚拟网卡为最小单位，分别将各VSG安全策略拆分为最小单位VSG安全策略；以及利用最小单位用户安全策略对最小单位VSG安全策略进行更新，并将更新后的最小单位VSG安全策略以VSG为单位进行合并，生成最新VSG安全策略；分发单元，用于分别将最新VSG安全策略下发给各VSG，以便各VSG基于各自的最新VSG安全策略对所在物理机上所有虚拟机进行安全防护。